Als je ooit je rijbewijs hebt laten zien bij een bar, een wietwinkel of een autoverhuurbalie, is de kans groot dat je gezicht en persoonlijke gegevens nu rondzwerven op het dark web. Dat blijkt uit een rapport van beveiligingsjournalist Brian Krebs, die een mogelijke grote datalek bij een groot identiteitsverificatiebedrijf heeft ontdekt.

Krebs ontdekte dat een nieuwe darkweb-site genaamd Nexus, die deze week is gelanceerd, gebruikers in staat stelt om te zoeken in meer dan 150 miljoen rijbewijzen en paspoorten uit de VS en Canada. De advertentie van de site op een Russisch cybercrimeforum schept op dat er dagelijks ongeveer een half miljoen nieuwe documenten worden toegevoegd, afkomstig van een 'groot identiteitsverificatiebedrijf' - wat suggereert dat de hackers directe toegang hadden tot de systemen van het bedrijf. Want waarom zou je data één keer stelen als je het ook voor altijd kunt blijven stelen?

Krebs bevestigde dat de gegevens echt waren door zijn eigen rijbewijs in de database te vinden. Zelfs minister van Defensie Pete Hegseth kwam in beeld, zijn foto stond op de site. Het ministerie van Defensie zei dat het 'op de hoogte is van deze berichten en deze evalueert', wat overheidsjargon is voor 'we onderzoeken het, stop alsjeblieft met vragen'.

In samenwerking met beveiligingsonderzoeker Zach Edwards - die ook zijn ID zag gestolen - identificeerde Krebs de waarschijnlijke bron als IDScan, een bedrijf uit Louisiana dat tientallen miljoenen ID's per maand verifieert voor grote technologie- en consumentenmerken. De CEO van IDScan reageerde niet op het verzoek om commentaar van TechCrunch, maar COO Jillain Kossman vertelde Krebs dat het bedrijf een onderzoek instelt. De FBI-vestiging in New Orleans is ook op de zaak gezet, maar zij reageerden ook niet op onze vragen. Nexus ging kort na het rapport van Krebs offline - niets zegt 'we zijn zeker niet schuldig' zoals verdwijnen in het digitale niets.

Dit datalek komt op een moment dat overheden leeftijdsverificatiewetten pushen, die volwassenen verplichten om ID's te uploaden om te bewijzen dat ze oud genoeg zijn om websites te bezoeken. Privacyvoorvechters hebben jarenlang gewaarschuwd dat het opslaan van enorme hoeveelheden identiteitsdocumenten een goudmijn is voor hackers. En hier zijn we dan: het grootste bekende datalek van identiteitsdocumenten in recente herinnering. Het is bijna alsof de waarschuwingen terecht waren.